COMPLIANCE Scanner : auditeur à la demande pour SaaS tiers contre les cadres réglementaires européens.

§1 · Définition système

Qu'est-ce que COMPLIANCE Scanner ?

COMPLIANCE Scanner est un service web d'audit de conformité SaaS à entrée unique. L'utilisateur saisit le nom d'un outil tiers (Notion, Slack, ChatGPT Enterprise…) ; le service retourne un JSON structuré qualifiant sa posture vis-à-vis des obligations européennes.

Architecture : frontend Angular 21 statique (Firebase Hosting, SSG prérendu), backend Express.js sur Cloud Run europe-west1, pipeline d'analyse anti-hallucination 3-tiers — L1 génération (Gemini 2.5 Flash-Lite) → L4 moteur de règles déterministes (14 garde-fous YAML) → L3 validation asynchrone (Vertex Gemini 2.5 Pro + Google Search grounding, via Cloud Tasks) — appelé via proxy authentifié (Firebase ID Token + rate limit et quota par tier : 1 audit/h gratuit, 5/j donateur). La clé API Gemini reste strictement en Secret Manager côté serveur.

§2 · Fonction

Input, traitement, output

§3 · Couverture réglementaire

Cinq cadres européens, un verdict

§4 · Modèle d'audit — Protocole C

De la saisie au verdict

Couche provenance (registres ANSSI / ANS) — verdict indicatif par défaut, opposable quand une source officielle l'appuie.

1. 1. Génération (L1). Gemini 2.5 Flash-Lite interroge son corpus paramétrique et les URLs publiques citables (CGU, DPA, pages sécurité éditeur), et croise les signaux avec les obligations des cinq cadres via SYSTEM_INSTRUCTION.
2. 2. Garde-fous déterministes (L4). Un moteur de 14 règles symboliques YAML valide la structure et la cohérence de la sortie — downgrade silencieux, FLAG ou REJECT.
3. 3. Validation par recherche (L3). Vertex Gemini 2.5 Pro + Google Search grounding re-vérifie les affirmations de façon asynchrone (Cloud Tasks) et consigne un verdict ACCEPT / FLAG / REJECT dans validator_trace. Verdict affiché : RED prohibé, ORANGE conditionnel, GREEN conforme.
4. 4. Capitalisation. Mise en cache Firestore (TTL 30 j, clé (toolName, lang)), export PDF A4 côté client.

§5 · Structure de sortie

Champs JSON exposés

{
  "schema_version": "1.1",
  "tool_name": string,
  "status": "pending_validation" | "accepted" | "flagged" | "rejected",
  "claims": [{
    "id": "C001",
    "field": "us_cloud_act_exposure" | "certifications" | "licenseType"
           | "sovereigntyCheck.*" | "hostingLocation" | …,
    "value": boolean | string | string[],
    "type": "fact" | "inference" | "assumption" | "unknown",
    "confidence": "high" | "medium" | "low",
    "source": { "url", "quote", "authority_score" } | null
  }],
  "verdict": {
    "riskLevel": "RED" | "ORANGE" | "GREEN",
    "bceStatus": "APPROVED" | "RESTRICTED" | "PROHIBITED",
    "maturityScore": 0-100
  },
  "synthesis": {
    "executive_summary": string,
    "maturity_score": 0-100,
    "impact_narrative": { "what_you_do", "what_you_risk[]", "what_you_abandon[]" }
  },
  "remediation_plan": [{ "step", "priority", "effort", "provider?" }],
  "validator_trace": { "verdict": "ACCEPT" | "FLAG" | "REJECT", "checks": [] }
}

§6 · Différenciateurs techniques

Ce que le produit fait différemment

§7 · Limites

Ce que le produit ne fait pas

• Pas de collecte automatisée de preuves (contrairement à Vanta, Drata, Secureframe).
• Pas de registre DORA Art. 28(3) (nécessite 3rdRisk, ProcessUnity, Diligent).
• Pas d'intégration IAM / SIEM / ITSM / CMDB.
• Les sources[] citées par L1 sont générées par le modèle (à vérifier contre la documentation éditeur) ; le pipeline L3 valide les affirmations par Google Search grounding, mais ne re-fetche pas chaque URL individuellement.
• Scoring non-déterministe : deux exécutions peuvent diverger (atténué par le cache 30 j).
• Quota par tier (1 audit/h gratuit, 5/j donateur) — inadapté aux portefeuilles  > 100 SaaS.
• Annuaire souverain EU mis à jour manuellement.
• Rapports non signés cryptographiquement — pas de valeur probatoire formelle.
• Aucune évaluation du SI interne du client ; uniquement des tiers.

§8 · Positionnement marché

Complémentaire, non concurrent

COMPLIANCE Scanner se positionne en amont : screening first-pass avant enregistrement dans ces plateformes.

§9 · FAQ

Questions fréquentes

Guide complet → /help

§10 · Glossaire

Termes clés

Cloud Act

Loi US 2018 autorisant les autorités américaines à accéder aux données détenues par entreprises US, même hébergées hors US.

Schrems II

Arrêt CJUE C-311/18 (2020) invalidant le Privacy Shield, exigeant mesures supplémentaires pour transferts UE → US.

DORA

Digital Operational Resilience Act (UE 2022/2554), applicable depuis janvier 2025.

EU AI Act

Règlement (UE) 2024/1689, obligations high-risk applicables à compter d'août 2026.

SecNumCloud

Qualification ANSSI pour offres cloud souveraines françaises.

TPRM

Third-Party Risk Management — gestion du risque lié aux fournisseurs tiers.

BCE status

Classification interne du produit : APPROVED, RESTRICTED, PROHIBITED — inspirée des politiques de banque centrale.

Protocole C

Taxonomie de verdict : RED (prohibé), ORANGE (conditionnel), GREEN (conforme).